Zum Inhalt springen
LuxGapSOC
Überwachung aktiv
DE
Konsolen-Login Anbindung anfragen

← Alle Funktionen

Erkennung und Ermittlungen

Erkennen, verknüpfen, ermitteln, reagieren: was das SOC aus jedem Signal macht

Die Alarme aller Ihrer Quellen landen in einer einzigen Liste, sortiert und erklärt von der KI von LuxGap. Alarme, die denselben Angriff erzählen, werden zu einer verfassten Ermittlung, und ein kompromittiertes Microsoft-365-Konto kann auf Entscheidung eines Analysten in wenigen Minuten gekappt werden.

Alle Screenshots stammen aus der LuxGap SOC-Konsole eines Demo-Kunden: Das Unternehmen Nordlux Manufacturing und seine Daten sind fiktiv.

Vorfälle und Alarme

Eine einzige Liste für alles, was bei Ihnen eintrifft – sortiert und erklärt von der KI

Microsoft 365, Google Workspace, Virenschutz und EDR, Server, Netzwerk, Schwachstellen, Darknet, Websites, Backups: Alle Alarme laufen in derselben Liste zusammen. Ab mittlerer Schwere ordnet die KI von LuxGap jeden Alarm als „echtes Risiko“ oder „Rauschen“ ein und verfasst eine Erklärung auf Französisch, mit den nächsten Schritten.

  • Seitenpanel eines Alarms: der Nachweis, die verortete Herkunftsadresse (Land, Hoster, VPN oder Tor), die Analyse der KI und die möglichen Maßnahmen
  • „Rauschen“ wird automatisch archiviert; ein Fehler des Modells archiviert nie etwas
  • Korrelation: Fünf Fehlversuche, gefolgt von einer erfolgreichen Anmeldung von derselben Adresse, werden zu einem einzigen kritischen Alarm
  • Ihr Administrator übernimmt einen Alarm oder stuft ihn als Fehlalarm ein; der endgültige Abschluss bleibt beim SOC

Beispiel – Demo-Kunde

Heute Morgen wird das geleakte Passwort des IT-Praktikanten von der Adresse aus ausprobiert, die vier Tage zuvor bereits das Konto eines Direktors übernommen hatte. Die MFA stoppt die Anmeldung; die KI stuft den Alarm als „echtes Risiko“ ein, stellt den Bezug zum ersten Einbruch her, und die Deaktivierung des Kontos wartet auf die Freigabe eines Analysten.

Einrichtung: Inklusive: Die Alarme stammen aus den angebundenen Quellen, die stündlich synchronisiert werden.

LuxGap SOC – Überwachungskonsole

Ansichten der Konsole LuxGap SOC-Konsole: Seitenpanel eines kritischen Alarms mit der Analyse der KI und der vorgeschlagenen Maßnahme LuxGap SOC-Konsole: Liste der Vorfälle und Alarme, alle Quellen zusammengeführt
Demo-Kunde, fiktive Daten. Klicken Sie auf einen Screenshot, um ihn zu vergrößern.

KI-Ermittlungen

Alarme, die denselben Angriff erzählen – zusammengeführt und als Geschichte aufbereitet

Alle 10 Minuten verknüpft das SOC die Alarme eines Kunden, die innerhalb von 72 Stunden ein Konto, eine IP-Adresse, ein Gerät, eine Domain oder eine Datei gemeinsam haben. Die KI von LuxGap liest die Nachweisakte und verfasst den Bericht des Vorfalls: was passiert ist, in welcher Reihenfolge, mit welcher Schwere und was zu tun ist.

  • Zeitachse, Graph der betroffenen Konten, Adressen und Geräte, Angriffstechniken nach MITRE ATT&CK
  • Die KI kann die Schwere einer Ermittlung anheben, aber nie senken
  • Die Daten bleiben bei LuxGap: Diese Ermittlungen laufen über keinen externen KI-Anbieter
  • Ohne Analysten wird nichts ausgeführt: Die vorgeschlagenen Maßnahmen gehen an das Modul Reaktion, wo sie freigegeben oder abgelehnt werden
  • Analystensuche: eine Adresse, eine Domain, eine IP oder eine CVE in einem Durchgang in allem gesucht, was das SOC bereits gespeichert hat (Leaks, Lookalike-Domains, Angriffsfläche, Ransomware, Threat Hunting, Bedrohungslage), ohne dass eine einzige Anfrage das SOC verlässt; der Suchbegriff wird nie gespeichert

Beispiel – Demo-Kunde

Sechs über vier Tage verteilte Alarme (Password Spraying, IMAP-Anmeldung ohne MFA, Regel zur Weiterleitung von E-Mails, als kompromittiert gemeldetes Konto, Anmeldung eines Administrators aus Nigeria, heute Morgen ausprobiertes geleaktes Passwort) bilden eine einzige kritische Ermittlung: „Konto von Jean Thill durch geleaktes Passwort übernommen; der Angreifer nimmt nun andere Konten ins Visier“.

Einrichtung: Inklusive, nichts zu aktivieren. Die Ermittlungen sind das Werkzeug der LuxGap-Analysten: Sie erhalten die Ergebnisse und die zu ergreifenden Maßnahmen.

LuxGap SOC – Überwachungskonsole

Ansichten der Konsole LuxGap SOC-Konsole: Bericht einer kritischen Ermittlung, verfasst von der KI von LuxGap LuxGap SOC-Konsole: Zeitachse und Graph der Entitäten einer Ermittlung LuxGap SOC-Konsole: eine Domain, gesucht in allen Quellen des SOC
Demo-Kunde, fiktive Daten. Klicken Sie auf einen Screenshot, um ihn zu vergrößern.

Reaktion auf Vorfälle

Ein kompromittiertes Microsoft-365-Konto, in Minuten statt in Stunden gesperrt

Wird ein Konto übernommen, kann das SOC seine Sitzungen beenden, es deaktivieren und nach der Änderung des Passworts wieder aktivieren. Die Erkennung schlägt die Maßnahme vor, ein Analyst gibt sie frei, danach führt ein separater Dienst sie aus, nachdem er alle Sicherheitsregeln erneut geprüft hat.

  • Nichts geschieht ohne Ihr unterzeichnetes Mandat und Ihre Zustimmung zu einer dedizierten Anwendung, die auf drei Berechtigungen beschränkt ist
  • Niemals bei einem Administratorkonto, einem aus Ihrem lokalen Verzeichnis synchronisierten Konto oder einem Konto, das Sie geschützt haben
  • Jede Maßnahme wird protokolliert, und Sie werden per E-Mail benachrichtigt
  • Ihr Administrator liest Mandat, Zustimmung und den Verlauf der Maßnahmen in der Konsole

Beispiel – Demo-Kunde

Die Sitzungen von Jean Thill werden beendet, danach wird sein Konto 32 Minuten nach dem Einbruch deaktiviert; am nächsten Tag wird es mit geändertem Passwort wieder aktiviert. Die für das Administratorkonto von Tom Kremer angeforderte Sperrung wird von der Schutzprüfung abgelehnt: Dieses Konto wird gemeinsam mit der CISO bearbeitet.

Einrichtung: Microsoft-365-Konnektor, dem Vertrag beigefügtes Reaktionsmandat, Zustimmung Ihres Globalen Administrators zur Anwendung „LuxGap SOC – Reaktion“.

LuxGap SOC – Überwachungskonsole

Ansichten der Konsole LuxGap SOC-Konsole: Verlauf der Reaktionsmaßnahmen – freigegeben, ausgeführt oder abgelehnt LuxGap SOC-Konsole: Mandat, Zustimmung, Richtlinien und geschützte Konten des Moduls Reaktion
Demo-Kunde, fiktive Daten. Klicken Sie auf einen Screenshot, um ihn zu vergrößern.

Kontoverhalten

Den Angreifer erkennen, der sich mit echten Zugangsdaten anmeldet

Ein gestohlenes Passwort löst keine Regel aus. Das SOC lernt deshalb, was jedes Konto üblicherweise tut (Land, Netzbetreiber, Gerät, Anmeldeart, Zeiten, Mengen, sensible Aktionen), und bewertet jede Stunde Aktivität: Je unwahrscheinlicher sie für dieses Konto ist, desto mehr zählt sie.

  • Ein Konto ist in 14 Tagen gelernt; eine Gewohnheit gilt erst nach drei verschiedenen Tagen, damit ein Angreifer nicht selbst als normal gelernt wird
  • Eine sehr ungewöhnliche Stunde löst einen Alarm aus, höchstens fünf pro Tag und Kunde
  • Eine legitime Reise wird als „das ist normal“ markiert und alarmiert nicht mehr
  • Quellen: Anmeldungen und Audit-Logs von Microsoft Entra ID, Aktivität in Google Workspace

Beispiel – Demo-Kunde

Die IMAP-Anmeldung von Jean Thill mitten in der Nacht aus Nigeria vereint ein nie gesehenes Land, einen nie gesehenen Netzbetreiber und ein nie gesehenes Protokoll: Die Stunde wird gemeldet. Die Reise der Datenschutzbeauftragten nach Lissabon dagegen ist als „das ist normal“ markiert.

Einrichtung: Standardmäßig ausgeschaltet. Von LuxGap aktiviert nach der von Ihrem Datenschutzbeauftragten validierten Folgenabschätzung und der Information der Beschäftigten (Arbeitsgesetzbuch, Art. L.261-1).

LuxGap SOC – Überwachungskonsole

LuxGap SOC-Konsole: überwachte Konten, Lernphase und ungewöhnliche Stunden je Konto
Demo-Kunde, fiktive Daten. Klicken Sie auf einen Screenshot, um ihn zu vergrößern.

Rohlogs

Alle Ihre Logs gespeichert und während eines Vorfalls abfragbar

Die Logs Ihrer Cloud-Dienste, Firewalls, Server und Anwendungen werden in einem eigenen Index Ihrer Organisation erfasst. Bei einem Vorfall sucht der Analyst über alle Quellen gleichzeitig und rekonstruiert die Zeitachse eines Kontos, einer Adresse oder eines Geräts.

  • Speicherdauer nach Wahl: 30, 60, 90, 180 oder 365 Tage, tagesgenau angewendet
  • Suche über alle Quellen, von einer Stunde bis 90 Tage, CSV-Export
  • Zeitachse über 1 Std., 6 Std., 24 Std. oder 72 Std. um ein Ereignis, exportierbar mit SHA-256-Fingerabdruck als Beweis
  • Achtzehn Erkennungsregeln alle 5 Minuten, davon sechs für die Netzwerksonde und vier für Berichte per E-Mail: Password Spraying, kompromittiertes Konto, Rechteausweitung, öffentliche Freigabe, Legacy-Authentifizierung, wiederverwendetes geleaktes Passwort
  • Eine Quelle, die länger als 6 Stunden schweigt, löst einen Alarm aus; jede Suche wird protokolliert

Beispiel – Demo-Kunde

Neun Quellen werden erfasst: Anmeldungen, Audit und Risikoerkennungen von Entra ID, Defender-Alarme, Ereignisse und Alarme von Sophos, Server-Logs und Aktivität in der Konsole.

Einrichtung: Konnektoren Ihrer Dienste und, für Netzwerk- und Server-Logs, ein bei Ihnen installierter Collector-Rechner, der über einen ausgehenden verschlüsselten Tunnel mit dem SOC verbunden ist.

LuxGap SOC – Überwachungskonsole

LuxGap SOC-Konsole: erfasste Rohlog-Quellen und ihr Status
Demo-Kunde, fiktive Daten. Klicken Sie auf einen Screenshot, um ihn zu vergrößern.

Außerdem

Die übrigen Module der Familie

Threat Intelligence und Hunting

Wird eine Bedrohung veröffentlicht, prüft das SOC, ob sie Sie bereits getroffen hat

Die vom CIRCL, dem luxemburgischen Zentrum für Reaktion auf Sicherheitsvorfälle, veröffentlichten Kompromittierungsindikatoren werden alle 6 Stunden importiert und in Ihren Logs der letzten 90 Tage gesucht, danach fortlaufend. Die Beobachtung bündelt außerdem die Hinweise von CERT-FR, CISA, Microsoft und ESET, auf Französisch zusammengefasst.

  • Urteil je Kunde: betroffen, im abgedeckten Zeitraum nicht betroffen oder nicht prüfbar, mit Begründung
  • Ein Treffer wird von einem Analysten qualifiziert, bevor er Ihnen gemeldet wird
  • Tägliches Briefing und betroffene Kunden, erkannt nach Hersteller und Produkt

Beispiel

Ein Feed veröffentlicht die Adresse eines Command-and-Control-Servers; die Suche findet sie in Ihren Anmeldungen des letzten Monats; der Analyst bestätigt und benachrichtigt Sie dann.

Einrichtung: Inklusive, sobald Ihre Rohlogs erfasst werden.

Berichte per E-Mail

Die Berichte, die niemand vollständig liest – für Sie gelesen

Firewall, Virenschutz, Backups, Überwachung: Ihre Tools senden Berichte per E-Mail. Sie leiten sie an ein dediziertes Postfach weiter; das SOC liest Text und Anhänge (PDF, CSV, Excel, HTML), legt sie in Ihren Logs ab und behält nur, was zählt.

  • Vier Regeln: gemeldeter Fehler, Spitze bei blockierten Zeilen, Ziel, das das SOC als verwundbar oder exponiert kennt, Tool, das keine Berichte mehr sendet
  • Nur die von Ihnen autorisierten Absender werden gelesen
  • Zusammenfassung auf Anfrage durch die KI von LuxGap, ohne externen Anbieter

Beispiel

Ihre Firewall sendet jede Nacht einen Bericht. An dem Tag, an dem sich ihre blockierten Zeilen verdreifachen, wird ein Alarm ausgelöst; an dem Tag, an dem sie schweigt, ebenfalls.

Einrichtung: Mit LuxGap: Einrichtung des Berichtspostfachs und Liste der autorisierten Absender.

Diese Module für Ihre eigene Umgebung

Beschreiben Sie, was Sie überwachen möchten: verbindliches Angebot innerhalb von 24 Std., Jahresvertrag, Umgebung zu 100 % garantiert.

Anbindung anfragen Preise ansehen

Sind Sie gerade von einem Sicherheitsvorfall betroffen? Rufen Sie +352 621 583 116 an.